「ウェブアプリの脆弱性にどう対応してますか?」記事へのコメント

とりあえず

[Anonymous Coward]

DBへのアクセスはPreparedStatement。
原理的にSQLインジェクションは発生しないので。

でも結局のところは一生懸命情報を収集するしかないのですけれどね。

Re:とりあえず

[Anonymous Coward]

条件分岐で検索条件が変わる時は
その分だけのPreparedStatement作るんですか？

Re:とりあえず

[Anonymous Coward]

SQLは動的に作成してもなんら問題ないでしょ。
その際に外部から引き渡された値を使わなければいいだけ。
外部から引き渡された値はプレースホルダを使ってDBに渡す。

# しかしSQLインジェクションってクラサバの頃からある話だと思うんだけどなぁ。
# 何でWebアプリだけ問題にされるのか不思議。

Re:とりあえず

[kokugojiten (22778)]

># しかしSQLインジェクションってクラサバの頃からある話だと思うんだけどなぁ。
># 何でWebアプリだけ問題にされるのか不思議。
    間接的にでもインターネットにつながってる事が必須のＤＢだからじゃないでしょうか。